【PHP8.x】CURLOPT_REDIR_PROTOCOLS定数の使い方

Copy
1<?php
2
3/**
4 * 指定されたURLからコンテンツを取得します。
5 * HTTPリダイレクトを追跡し、許可されたプロトコルのみを対象とします。
6 *
7 * @param string $url 取得するURL。
8 * @return string|null 成功した場合はコンテンツの文字列、失敗した場合はnull。
9 */
10function fetchUrlContent(string $url): ?string
11{
12    // cURLセッションを初期化します。
13    $ch = curl_init();
14
15    // cURLセッションの初期化に失敗した場合。
16    if ($ch === false) {
17        error_log("cURLセッションの初期化に失敗しました。");
18        return null;
19    }
20
21    // cURLオプションを設定します。
22
23    // 取得したいURLを指定します。
24    curl_setopt($ch, CURLOPT_URL, $url);
25
26    // curl_exec() の戻り値を文字列として返すように設定します。
27    // このオプションが false の場合、結果は直接出力されます。
28    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
29
30    // HTTPリダイレクトを自動的に追跡するように設定します。
31    // これを true にしないと、リダイレクト先のコンテンツは取得されません。
32    curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
33
34    // リダイレクト時に許可するプロトコルを指定します。
35    // ここでは、HTTPとHTTPSへのリダイレクトのみを許可しています。
36    // 他のプロトコル（例: FTP）へのリダイレクトは拒否されます。
37    // CURLOPT_FOLLOWLOCATION が true の場合にのみ有効です。
38    curl_setopt($ch, CURLOPT_REDIR_PROTOCOLS, CURLPROTO_HTTP | CURLPROTO_HTTPS);
39
40    // タイムアウトを設定します（秒）。
41    curl_setopt($ch, CURLOPT_TIMEOUT, 10);
42
43    // cURLリクエストを実行し、結果を取得します。
44    $response = curl_exec($ch);
45
46    // cURL実行中にエラーが発生したかを確認します。
47    if (curl_errno($ch)) {
48        // エラーが発生した場合、エラーメッセージをログに出力します。
49        error_log('cURLエラー: ' . curl_error($ch));
50        $response = null; // エラー時は結果を無効にします。
51    }
52
53    // cURLセッションを閉じ、リソースを解放します。
54    curl_close($ch);
55
56    return $response;
57}
58
59// サンプルコードの実行例：
60// リダイレクトが発生する可能性のあるURL（例: http://example.com は通常 https://example.com にリダイレクトされます）
61$targetUrl = "http://example.com";
62echo "URL '{$targetUrl}' からコンテンツを取得しています...\n";
63
64$content = fetchUrlContent($targetUrl);
65
66if ($content !== null) {
67    echo "\nコンテンツの取得に成功しました。";
68    echo "（冒頭500文字を表示）:\n";
69    // 取得したコンテンツの最初の500文字のみ表示します。
70    // mb_substr を使用してマルチバイト文字も正しく扱います。
71    echo mb_substr($content, 0, 500) . "...\n";
72} else {
73    echo "\nコンテンツの取得に失敗しました。詳細についてはエラーログを確認してください。\n";
74}

このPHPのサンプルコードは、fetchUrlContentという関数を使って、指定されたURLからウェブコンテンツを安全に取得する方法を示しています。Webサイトが別のURLへ自動的に転送される「HTTPリダイレクト」が発生した場合に、その挙動を適切に制御することに重点を置いています。

関数内では、まずcurl_init()でcURLセッションを初期化し、curl_setopt()関数で様々な動作を設定します。CURLOPT_URLで取得したいURLを指定し、CURLOPT_RETURNTRANSFERをtrueに設定することで、curl_exec()の実行結果が直接出力されず、文字列として関数に返されるようになります。

特に重要なのは、リダイレクト時の制御です。CURLOPT_FOLLOWLOCATIONをtrueに設定すると、cURLは自動的にリダイレクトを追跡します。その際に、PHP 8のcURL拡張機能で利用できる定数であるCURLOPT_REDIR_PROTOCOLSが、リダイレクトを許可するプロトコルを指定します。このサンプルではCURLPROTO_HTTP | CURLPROTO_HTTPSと設定されており、HTTPとHTTPSプロトコルへのリダイレクトのみを許可し、他のプロトコル（例えばFTPなど）への予期せぬリダイレクトを防ぐことで、セキュリティリスクを軽減します。

fetchUrlContent関数は、取得したいURL（string $url）を引数にとり、コンテンツの取得に成功した場合はその文字列を、失敗した場合はnullを戻り値として返します。エラーが発生した際には、内部でエラーログが出力される仕組みです。

Copy
1<?php
2
3/**
4 * 指定されたURLにcURLでアクセスし、特定プロトコルへのリダイレクトのみを許可する関数。
5 *
6 * この関数は、CURLOPT_FOLLOWLOCATION を使用してリダイレクトを自動追跡し、
7 * さらに CURLOPT_REDIR_PROTOCOLS を使用して、追跡を許可するリダイレクトのプロトコルを制限します。
8 * システムエンジニアを目指す初心者が、セキュリティを考慮したリダイレクト処理の基本を理解するのに役立ちます。
9 *
10 * @param string $url アクセスするURL。リダイレクトが発生する可能性のあるURLを指定すると、
11 *                    CURLOPT_REDIR_PROTOCOLS の効果をより明確に確認できます。
12 * @return string|false 成功した場合は取得したコンテンツ、失敗した場合は false を返します。
13 */
14function fetchUrlWithLimitedRedirects(string $url): string|false
15{
16    // cURLセッションを初期化
17    $ch = curl_init();
18
19    // cURLセッションの初期化に失敗した場合
20    if (false === $ch) {
21        error_log('cURLセッションの初期化に失敗しました。');
22        return false;
23    }
24
25    // アクセスするURLを設定
26    curl_setopt($ch, CURLOPT_URL, $url);
27
28    // リダイレクトを自動的に追跡することを許可します。
29    // CURLOPT_FOLLOWLOCATION が false の場合、CURLOPT_REDIR_PROTOCOLS は効果を発揮しません。
30    curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
31
32    // 追跡を許可するリダイレクトプロトコルを設定します。
33    // ここでは HTTP と HTTPS プロトコルへのリダイレクトのみを許可します。
34    // 例えば、リダイレクト先が FTP や FILE プロトコルの場合、そのリダイレクトは拒否されます。
35    // 複数のプロトコルを許可する場合は、ビットOR演算子 (|) を使用して結合します。
36    curl_setopt($ch, CURLOPT_REDIR_PROTOCOLS, CURLPROTO_HTTP | CURLPROTO_HTTPS);
37
38    // リクエストの実行結果を、直接出力する代わりに文字列として取得するように設定
39    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
40
41    // HTTPS を使用するURLにアクセスする場合、環境によってはSSL証明書の検証が必要になります。
42    // 開発環境でのテスト目的で一時的に検証を無効にすることもできますが、
43    // 本番環境ではセキュリティのため常に検証を有効にすることが強く推奨されます。
44    // curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
45    // curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, false);
46
47    // cURLリクエストを実行し、結果を取得
48    $response = curl_exec($ch);
49
50    // cURLエラーが発生した場合の処理
51    if (curl_errno($ch)) {
52        error_log('cURLエラー: ' . curl_error($ch));
53        curl_close($ch);
54        return false;
55    }
56
57    // cURLセッションを終了し、リソースを解放
58    curl_close($ch);
59
60    return $response;
61}
62
63// --- 関数利用例 ---
64
65// テスト用のURL。リダイレクトを試すには、以下のようなURLを使用すると良いでしょう。
66// 例1: 正常なHTTPSリダイレクト
67// $targetUrl = 'http://httpbin.org/redirect-to?url=https://www.google.com';
68
69// 例2: 許可されていないプロトコルへのリダイレクト (例: FTP)
70// この場合、CURLPROTO_HTTP | CURLPROTO_HTTPS の設定によりリダイレクトは拒否されます。
71// $targetUrl = 'http://httpbin.org/redirect-to?url=ftp://bad.example.com/file.txt';
72
73// 例3: リダイレクトしないシンプルなHTTPページ
74$targetUrl = 'http://www.example.com';
75
76echo "URL: " . $targetUrl . " にアクセスしています...\n";
77$content = fetchUrlWithLimitedRedirects($targetUrl);
78
79if ($content !== false) {
80    echo "コンテンツの取得に成功しました (最初の500文字):\n";
81    // マルチバイト文字列に対応するため mb_substr を使用
82    echo mb_substr($content, 0, 500) . "...\n";
83} else {
84    echo "URL: " . $targetUrl . " からコンテンツの取得に失敗しました。\n";
85    echo "エラーログを確認してください。\n";
86}

PHPのCURLOPT_REDIR_PROTOCOLSは、cURLでウェブサイトにアクセスする際のリダイレクト動作を制御する定数です。この定数は、リダイレクトを自動追跡するCURLOPT_FOLLOWLOCATIONが有効な場合にのみ機能し、追跡を許可するプロトコルを具体的に指定することで、セキュリティを向上させます。

サンプルコードのfetchUrlWithLimitedRedirects関数は、指定されたURLへアクセスし、リダイレクトが発生した場合の安全な処理方法を示しています。まず、CURLOPT_FOLLOWLOCATIONをtrueに設定してリダイレクトの自動追跡を許可します。次に、CURLOPT_REDIR_PROTOCOLSにCURLPROTO_HTTP | CURLPROTO_HTTPSを設定することで、HTTPおよびHTTPSプロトコルへのリダイレクトのみを許可し、その他のプロトコル（例えばFTPやFILEなど）へのリダイレクトは自動的に拒否されるようになります。これにより、意図しないプロトコルへのリダイレクトを防ぎ、通信の安全性を確保できます。

この関数は、アクセスするURLを文字列型の$url引数として受け取ります。処理が成功した場合は取得したウェブページのコンテンツを文字列として返し、ネットワークエラーやcURLセッションの初期化失敗時にはfalseを返します。システムエンジニアを目指す初心者の方が、セキュアなリダイレクト処理の基本を理解するのに役立つ実践的な例です。